IPsec NAT-тан өту ESP-ні UDP ішіне қалай орайды

Бір маршрутизатордың артындағы екі клиент бір IPsec шлюзімен сөйлеседі, және біреуі үнемі үзіліп жатқанда екіншісі қосылып тұрады. Бастапқы ESP — порттары жоқ 50-ші IP протоколы, сондықтан бірнеше клиент бір мекенжайды бөліскенде аудармашының карта жасауға сүйенетін ештеңесі жоқ. NAT-тан өту ESP-ні 4500 портында UDP ішіне орау арқылы осы олқылықты жабады, және сол тақырыпша келесі симптомдардың көбін түсіндіреді. Ол сондай-ақ өзгерту қажет құрылғыны көрсетеді.

Деректер жазықтығы неге 4500 портына көшеді

Конфигурация кезінде IKEv2 әр тарап пайдаланады деп ойлайтын мекенжайлар мен порттарды өзінің NAT анықтау хабарламаларында хэштерді алмастыру арқылы салыстырады. Хэштер сәйкес келмесе, жолдың бір жерінде аудармашы отырады, және екі тарап та қорғалған трафикті UDP қаптамасына ауыстырады. Сондықтан аудармашыға тап болған сессия тап болмаған сессиядан өзгеше көрінеді.

Қаптама — конверт, протоколдың өзгерісі емес: ESP өз тақырыпшасын, тұтастық тексеруін және шифрлауын сақтайды, ал UDP аудармашыға қажет порттарды ғана береді. 500 порты IKE алмасуын тасымалдайды; 4500 анықтаудан кейінгі қапталған деректерді, көбіне кейінгі IKE хабарламаларын да тасымалдайды. Екі порттың ешқайсысы ағынды TCP қосылысына айналдырмайды, бұл болжам түсірілімді оқығандардың көбін жаңылыстырады.

Екі кезеңді ретімен тексеріңіз

Алдымен басқару алмасуын, содан кейін деректер жолын дәлелдеңіз, және екеуін жазбаларыңызда бөлек ұстаңыз. 500-де трафикті көрсетіп, 4500-де ешқашан көрсетпейтін түсірілім әдетте деректер жолы сүзілгенін білдіреді, сондықтан түзету клиентте емес, брандмауэр ережесінде болуы керек.

Екі портты tcpdump -ni any 'udp port 500 or udp port 4500' арқылы бақылаңыз, және сессия жұмыс істеп тұрғанда маршрутизатордағы аударма кестесін оқыңыз. Сол кесте шлюз шын мәнінде көретін бастапқы портты көрсетеді, ал ноутбуктегі түсірілім жоба бойынша оған қайшы келеді: ноутбук 500 деп ойлайды, ал шлюз аударылған бастапқы портпен 4500 көреді, және екеуі де дұрыс. Сол ағын, аудармаға дейін және кейін:

client 192.0.2.10:500 -> router 203.0.113.7:62000 -> gateway 198.51.100.9:4500

Қаптама түсіндіретін симптомдар және түсіндірмейтін екеуі

Басқару алмасуына рұқсат беріп, қапталған деректерді бөгейтін маршрутизатор «түнел көтерілді, бірақ ештеңе өтпейді» деген есепті тудырады. Карта кестелерінің мерзімі бітеді, сондықтан бос емес сессияға тараптар әдейі жіберетін тірі ұстау трафигі қажет, және бұл пакеттер денсаулық тексерісі емес. Бір шлюздің артындағы бірнеше клиент бірге сәтсіз болса, сол шлюздің аудармасын және кез келген ескі өткізу мүмкіндігін зерттеңіз. Қаптама түнел көтерілгеннен кейін әр клиентте сәтсіз болатын қосымшаны да, блоктау бетіндегі сертификат ескертуін де түсіндірмейді; екеуі де осы қабаттың үстінде.

Карта кестесін бір уақытта екі клиент үшін оқыңыз: егер екеуі де бірдей аударылған портты көрсетсе, құрылғы оларды шлюз талап ететіндей бөлмейді. Бастапқы ESP-ні тек бір хостқа беретін өткізу режимі бірнеше аударылған клиентке қызмет көрсетуге тең емес, дегенмен сатушылар екеуін де IPsec-ке достық деп сипаттайды. Қос NAT карта қабатын және тағы бір мерзім біту нүктесін қосады, бірақ шығыс қосылыстарын автоматты түрде үзбейді.

Тірі ұстау трафигі пайдалану нұсқаулығында өз жолына лайық, өйткені ол бос кезеңдерде жауап жолын ашық ұстайды. Оны сатушы құжаттаған жерде қосыңыз, және сессия бірінші пайдалануда емес, бірнеше минуттық тыныштықтан кейін өлсе, ең алдымен соны тексеріңіз.

Картаның иесін өзгертіңіз, содан кейін қайта сынаңыз

Портты болжаудың орнына екі тарапта қолдау көрсетілген NAT-тан өту параметрлерін ұстаныңыз. Бір клиентте жергілікті бастапқы портты өңдеу қарсы жақта тыңдап тұрған қызметті өзгерте алмайды, және әдетте бұрыннан құрылған картаны бұзады. Егер клиент сіз бақыламайтын құрылғының артында болса, өзгеріс оның иесіне тиесілі.

Кез келген өзгерістен кейін екі кезеңдік тексеруді қайталаңыз және деректер пакетінің өтетінін растаңыз, тек күй экраны жасыл болғанын емес. Тізімдерді, карта кестесінің шығысын және ереже өзгерісін бір жазбада ұстаңыз, келесі адам басқару алмасуынан қайта бастамас үшін. strongSwan-ның NAT-тан өту туралы жазбалары екі кезеңнің артындағы қаптау және тірі ұстау параметрлерін қамтиды.